La responsabilidad legal de la junta directiva ante la AEPD
La junta directiva de un club deportivo o asociación deportiva sin ánimo de lucro ostenta legalmente la condición de Responsable del Tratamiento de Datos. Esto significa que los presidentes y secretarios responden ante la Agencia Española de Protección de Datos (AEPD) por el uso indebido o la filtración de la información de sus deportistas y socios.
En el deporte base, la inmensa mayoría de los deportistas son menores de edad, lo que sitúa la protección de su intimidad bajo un régimen de especial protección legal tanto en el Reglamento General de Protección de Datos europeo (RGPD) como en la Ley Orgánica 3/2018 (LOPDGDD).
Muchos directivos asumen erróneamente que por tratarse de entidades sin ánimo de lucro están exentos de sanciones. La jurisprudencia de la AEPD demuestra lo contrario: las asociaciones deportivas y clubes de base son objeto frecuente de expedientes sancionadores por prácticas como difundir listados con DNI y teléfonos o publicar fotos de menores sin consentimiento documentado.
Las 3 infracciones más comunes en los clubes deportivos
1. Difusión de teléfonos y datos bancarios en grupos de WhatsApp
Incluir a decenas de familias en un grupo abierto de mensajería sin consentimiento expreso expone sus números de teléfono privados a desconocidos, vulnerando el principio de confidencialidad y confidencialidad básica de las comunicaciones.
2. Publicación de fotografías de menores en redes sociales sin autorización
Subir fotos de celebraciones de partidos, alineaciones o entrenamientos a Instagram o TikTok requiere contar con una autorización expresa y revocable firmada por los progenitores o tutores legales del menor.
3. Custodia precaria de historiales médicos y números IBAN
Almacenar fichas de papel en archivadores sin llave o mantener archivos Excel con cuentas bancarias en los portátiles personales de los entrenadores supone un grave riesgo de brecha de seguridad.
Plantilla de cláusula: consentimiento para uso de imagen y redes sociales
Para cumplir con la doctrina consolidada de la AEPD y la Ley Orgánica 1/1982 de protección civil del derecho al honor, a la intimidad y a la propia imagen, el consentimiento fotográfico no puede figurar como una casilla premarcada ni como condición obligatoria para admitir al deportista en el club. Debe presentarse como una opción independiente, expresa y libremente revocable.
Texto modelo recomendado: "Autorizo a [Nombre del Club Deportivo] a captar y reproducir imágenes fotográficas y vídeos de mi hijo/a durante entrenamientos, partidos y eventos oficiales de la entidad, con la finalidad exclusiva de divulgar las actividades deportivas en la página web oficial, redes sociales del club (Instagram, Facebook, X, TikTok) y memorias de temporada. Esta autorización tiene carácter voluntario y puede ser revocada en cualquier momento mediante comunicación por escrito a la secretaría del club o a través de la aplicación oficial."
Plazos de conservación de datos: ¿cuándo debe el club borrar la información?
El principio de limitación del plazo de conservación (artículo 5.1.e del RGPD) exige que los datos personales no se conserven indefinidamente una vez extinguida la relación deportiva. Sin embargo, el club debe respetar obligaciones legales impuestas por otras normativas sectoriales:
- Datos contables y facturas de cuotas: deben conservarse durante un mínimo de 4 a 6 años por exigencia de la normativa tributaria y el Código de Comercio español.
- Mandatos de domiciliación bancaria SEPA: deben custodiarse durante un mínimo de 14 meses tras la emisión del último adeudo para atender posibles reclamaciones bancarias de devolución.
- Historiales y reconocimientos médicos: conservarse bloqueados durante el plazo de prescripción de acciones de responsabilidad civil (mínimo 5 años en territorio común).
- Imágenes y grabaciones de partidos: eliminar de los servidores internos una vez desvinculado el menor si media solicitud expresa de revocación del tutor.
Protocolo de actuación ante una inspección o requerimiento de la AEPD
Si el club recibe una notificación formal de la Agencia Española de Protección de Datos motivada por la denuncia de un tutor descontento (por ejemplo, por la difusión de un número en un chat o una foto no autorizada), la junta directiva dispone de un plazo perentorio de 10 a 30 días para responder. Contar con un sistema estructurado como ClubOS marca la diferencia entre el sobreseimiento o una sanción económica:
- Aportar el Registro de Actividades de Tratamiento (RAT) actualizado del club con especificación de finalidades y bases jurídicas.
- Presentar el mandato SEPA y consentimiento de imagen digitalmente sellado con fecha, hora e IP del tutor.
- Demostrar la existencia de un Contrato de Encargo de Tratamiento (DPA) con el proveedor tecnológico con servidores cifrados en la Unión Europea.
- Acreditar que la comunicación con las familias se canaliza por canales privados autenticados sin difusión pública de teléfonos personales.
¿Necesita un club deportivo un Delegado de Protección de Datos (DPD)?
Conforme al artículo 34 de la LOPDGDD y las guías de la AEPD para entidades deportivas, la designación formal de un DPD no es obligatoria para la mayoría de clubes deportivos sin ánimo de lucro, salvo que traten datos de salud a gran escala de forma sistemática o gestionen centros de tecnificación deportiva de alto rendimiento. No obstante, la junta directiva sí está obligada a designar a un responsable interno de coordinación y a mantener el Registro de Actividades de Tratamiento periódicamente auditado.
En caso de producirse una brecha de seguridad (por ejemplo, el extravío de un dispositivo con la base de datos o un acceso no autorizado a los servidores), el club está obligado por el artículo 33 del RGPD a notificar el incidente a la AEPD en un plazo máximo de 72 horas desde que tenga constancia del suceso, así como a informar a los tutores afectados si existe un alto riesgo para sus derechos y libertades.
Cómo blinda ClubOS la seguridad jurídica de tu club
En ClubOS, los consentimientos de tratamiento de datos, cesión de imagen y mandatos de domiciliación se firman digitalmente durante la inscripción online y quedan custodiados con sellado temporal.
Además, la comunicación con las familias se canaliza a través de la app oficial del club con perfiles privados aislados, eliminando por completo la necesidad de crear grupos públicos de mensajería.
El club firma automáticamente con nosotros el correspondiente Contrato de Encargo del Tratamiento (DPA), garantizando que los servidores aplican cifrado en reposo AES-256 y copias de seguridad continuas bajo territorio europeo.
*Aviso legal: la información contenida en este artículo tiene fines puramente didácticos y divulgativos, y no constituye asesoramiento jurídico o legal profesional.*
Preguntas frecuentes
¿A partir de qué edad puede consentir un menor en España?
En España, conforme a la LOPDGDD, los menores pueden prestar su consentimiento a partir de los 14 años. Por debajo de esa edad es imprescindible el consentimiento expreso de sus tutores legales.
¿Puede una familia revocar el permiso de publicación de fotos?
Sí. El consentimiento es revocable en cualquier momento. El club debe actualizar el estado en la ficha del jugador y abstenerse de publicar nuevas imágenes del deportista.